No dia 05 de Novembro o projeto OpenSSH publicou a release note informando que receberam um grande número de reports de vulnerabilidade (reportado por Özgün Kültekin do Wakefield) que permite os atacantes logar no sistema sem a necessidade de saber senha. Muitos destes reports foram encontrados por algum modelo de IA ou feitos com assistente de IA; algo que está se tornando comum hoje em dia. Apesar que muitos destes reports são considerados pelas IAs não ter impacto na segurança, a equipe informa que as considera bem aceitas já que, combinado com triagem humana, analises, testes e particularmente quando acompanhada por correções propostas. Esta vulnerabilidade afeta distribuições Linux que utilizam a musl libc e o módulo PAM desativado.
"Vimos um número de casos onde um bug de segurança identificado por ferramentas de IA é subsequentemente descoberta independentemente por um pesquisador diferente. Isso sugere que adversários que não reportam bugs para projetos OSS provavelmente serão capazes de descobrir esses bugs também. Dado isso, a equipe do OpenSSH estará, por enquanto, fazendo mais lançamentos frequentes para obter correções nas mãos dos usuários mais rapidamente ao invés de agrupá-las até o próximo lançamento planejado."
E essa parte de unir ferramentas de IA ao esforço humano para más intenções ao invés de para o bem que é preocupante. Até o momento, nenhum identificador CVE foi assinalado ainda. A recomendação é atualizar o OpenSSH para a versão 10.6p2. No caso, a distribuição Alpine Linux dá a dica do que fazer caso não possa ainda atualizar e pode ser conferido clicando aqui. editando o arquivo /etc/ssh/sshd_config e adicionar a opção PasswordAuthentication no (não esqueça de reiniciar o serviço sshd).
A equipe do Dropbear também informou que o mesmo problema PODE ocorrer em versões anteriores a 2018.76 rodando musl libc. Apesar que esta vulnerabilidade não afeta nem as versões antigas do dropbear e depender de fatores utilizados pelo OpenSSH que nunca foram utilizados no dropbear, a equipe também recomenda atualizar o dropbear para a versão 2019.77 que recebeu adição de senha com limite de 100 caracteres apesar que ultima versão foi a 2026.94 lançada no dia 23 de Julho de 2026.
Security advisory: openssh-server password authentication bypass | Alpine Linux
The Dropbear Fourth quarter 2026 Archive by subject
 |
| QUER APRENDER LINUX? ENTÃO CONFIRA O MEU CURSO DE MIGRAÇÃO PARA LINUX CLICANDO AQUI :) |
Nenhum comentário:
Postar um comentário
Viu algum erro e quer compartilhar seu conhecimento? então comente aí.
Observação: somente um membro deste blog pode postar um comentário.